您当前的位置:首页 > 计算机 > 文件格式与编码

FAT32文件系统删除文件后目录项起始簇号高位清零的分析

时间:01-02来源:作者:点击数:

前面提到过,如果文件在数据区中存放的位置比较靠后,文件起始簇号就会很大,那么文件目录项中记录文件起始簇号的高位两个字节就会有数据,当文件删除时,这两个字节会被清零。下面分情况详细分析。

情况一

第一种情况针对文件放入回收站,然后再清空回收站这种操作进行分析。

在分区G的根目录下有一个文件“setupapi.log”,如图4-332所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-332 文件“setupapi.log”

该文件的目录项如图4-333所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-333 文件“setupapi.log”的目录项

该文件起始簇号高位的两个字节是“003FH”,低位的两个字节是“8D11H”,合并到一起,则该文件起始簇号的四个字节为“3F8D11H”,转换为十进制等于“4 164 881”。

现在将该文件放入回收站,如图4-334所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-334 将文件放入回收站

然后再清空回收站,如图4-335所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-335 清空回收站

清空回收站之后再看看这个文件的目录项,如图4-336所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-336 清空回收站之后的目录项

从目录项中可以看出,“setupapi.lot”文件的目录项仅仅首字节变成了“E5”,其他位置都没有发生变化,起始簇号的高位也没有清零。

结论:在FAT32文件系统中,将文件先放入回收站,再清空回收站,这种删除方法并不清除文件目录项中起始簇号高位的两个字节。

情况二

第二种情况我们针对直接彻底删除文件这种操作进行分析。

在分区G的根目录下有一个文件“river.bmp”,如图4-337所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-337 文件“river.bmp”

该文件的目录项如图4-338所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-338 文件“river.bmp”的目录项

该文件起始簇号高位的两个字节是003FH,低位的两个字节是8D10H,合并到一起,则该文件起始簇号的四个字节为3F8D10H,转换为十进制为4 164 880。

接下来用Shift+Delete组合键把文件彻底删除,如图4-339所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-339 把文件彻底删除

文件“river.bmp”彻底删除后的目录项如图4-340所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-340 文件“river.bmp”彻底删除后的目录项

从目录项中可以看出,“river.bmp”文件的目录项首字节变成了“E5”,起始簇号高位的两个字节也被清零,如果用常规的数据恢复软件来恢复这个被删除的文件,软件会把该文件的起始簇号认为是“8D01H”簇,显然这样恢复出来的文件不可能正确。

结论:在FAT32文件系统中,将文件用Shift+Delete组合键直接彻底删除,这种删除方法将清除文件目录项中起始簇号高位的两个字节。

情况三

第三种情况我们针对直接彻底删除目录这种操作进行分析。

在分区G的根目录下有一个文件夹“789”,如图4-341所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-341 文件夹“789”

该文件的目录项如图4-342所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-342 文件夹“789”的目录项

该文件夹起始簇号高位的两个字节是002FH,低位的两个字节是3427H,合并到一起,则该文件起始簇号的四个字节为2F3427H,转换为十进制为3 093 543。

在文件夹“789”下有两个文件“explorer.exe”和“iis6.doc”,如图4-343所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-343 文件夹“789”下的两个文件

文件“explorer.exe”和“iis6.doc”的目录项如图4-344所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-344 文件“explorer.exe”和“iis6.doc”的目录项

其中文件“explorer.exe”起始簇号的四个字节为2F3428H,文件“iis6.doc”起始簇号的四个字节为2F37E4H。

现在将文件夹“789”彻底删除,来观察该文件夹及其下的文件所发生的变化。

用Shift+Delete组合键彻底删除文件夹“789”,如图4-345所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-345 彻底删除文件夹“789”

文件夹“789”彻底删除后的目录项如图4-346所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-346 文件夹“789”彻底删除后的目录项

从目录项中可以看出,“789”文件夹的目录项首字节变成了“E5”,起始簇号高位的两个字节也被清零。

再看“789”文件夹里面两个下级文件的目录项,如图4-347所示。

FAT32文件系统删除文件后目录项起始簇号高位清零的分析
图4-347 文件夹删除后两个下级文件的目录项

从图4-347中可以看出,文件“explorer.exe”和“iis6.doc”的目录项完好无损,首字节没有改为“E5”,起始簇号的高位也没有清零。

结论:在FAT32文件系统中,将文件夹用Shift+Delete组合键直接彻底删除,这种删除方法将清除文件夹的目录项中起始簇号高位的两个字节,而文件夹里面文件的目录项起始簇号高位的两个字节并不清空。

文件目录项起始簇号高位清零后的恢复方法

文件彻底删除后,文件目录项起始簇号高位的两个字节被清零,文件的真正起始簇号就无法确定了,这样的文件很难恢复,但也并不是完全不能恢复,实际上还是有一些方法可以还原文件起始簇号的高位,这里提供两个思路:

①文件删除后,文件的创建时间、修改时间并不改变,所以可以寻找与被删除的文件创建时间十分相近的文件,参考它们的起始簇号高位的两个字节。

②用穷举法,编一个程序,对起始簇号的高位依次穷举,然后验证。

方便获取更多学习、工作、生活信息请关注本站微信公众号城东书院 微信服务号城东书院 微信订阅号
推荐内容
相关内容
栏目更新
栏目热门